Neubewertung der Security-Trias
Die Konzepte von CPS und OT sind oft miteinander verwoben. In einer Umgebung, in der die Betriebskontinuität von größter Bedeutung ist, muss die traditionelle CIA-Priorisierung (Confidentiality-Integrity-Availability, CIA) in eine AIC-Reihenfolge (Availability-Integrity-Confidentiality) gewandelt werden. Eine solche Änderung führt zu einem Paradigmenwechsel in den Köpfen des Sicherheitspersonals. CPS im OT-Bereich spielen eine zentrale Rolle bei der Steigerung des Unternehmenswertes, während die Verwaltungsbefugnis oft beim Betriebspersonal und nicht beim Informationssicherheitsteam liegt. Der Interessenkonflikt liegt auf der Hand und führt dazu, dass es nur selten Sicherheitsanbieter gibt, die beiden Anforderungen gerecht werden können. Aus diesem Grund sind Allzweck-Sicherheitstools nicht von großem Nutzen. Speziell entwickelte Sicherheitstools für CPS werden die neue Norm in der OT werden.
Profilerstellung für OT-Umgebungen und deren Sicherheitsanforderungen
CPS werden in der OT oft als kritische Anlagen betrachtet, denen sogar mehr Aufmerksamkeit geschenkt wird als dem Betriebspersonal und den Informationsverarbeitungsprozessen. Ein stabiler Output mit maximalen Ergebnissen ist das Endziel, das auch aus Sicherheitsgründen nicht beeinträchtigt werden darf. Unter solchen Umständen werden erhebliche Hindernisse für die Aufrechterhaltung der OT-Sicherheit deutlich. Unabhängig von der allgemeinen Unterbesetzung des Sicherheitspersonals im OT-Bereich schaffen auch Legacy-Systeme und spezielle Servicebedingungen für Anlagen Hindernisse für die Installation, den Einsatz und die Kompatibilität von Sicherheitslösungen. Auch die Sicherheitsbedenken bei der Internetnutzung schränken die Auswahlmöglichkeiten für Sicherheitslösungen ein. Trotz des offensichtlichen Trends, dass IT-Manager mehr Verantwortung für die OT-Cybersicherheit übernehmen, passen die herkömmlichen IT-Sicherheitstools nur selten zu OT-Umgebungen. Alle oben genannten Punkte ergeben ein ideales Sicherheitskonzept für die OT: Eine mehrschichtige Sicherheitslösungsmatrix, die so konzipiert ist, dass sie für das Betriebspersonal einfach zu handhaben ist, für die OT-Umgebung in Bezug auf das Know-how vor Ort optimiert ist und die bestehenden betrieblichen Aufgaben nur geringfügig beeinträchtigt.
CPSDR im betrieblichen Kontext
Die Idee, Cyberangriffe aus unbekannten Quellen zu identifizieren, klingt aufgrund der technischen Komplexität zunächst unmöglich in einer OT-Umgebung. Doch dies ist im Gegenteil etwas, das wir erreicht haben, indem wir alle Faktoren miteinander kombiniert haben. Erstens stehen die CPS in der OT im Mittelpunkt des Betriebs, so dass alle Analysen mit einem gezielten Fokus auf die Anlagen durchgeführt werden können. Es liegt in der Natur des betrieblichen Prozessdesigns, die Einflüsse einzelner Mitarbeiter zu eliminieren und damit die ungewissen Faktoren für die Sicherheit drastisch einzuschränken. Zweitens sind die CPS in den meisten OT-Umgebungen für eine Reihe von sich wiederholenden Aufgaben ausgelegt. Alle diese betrieblichen Aufgaben können in einen sehr gut vorhersehbaren Rahmen eingegrenzt werden, unabhängig von ihrem Umfang und der Komplexität. Dies hilft dabei, ein solides Basiswissen für künftige Sicherheitsanalysen zu schaffen. Im IT-Netzwerk kann jeder Mitarbeiter jedes Endgerät aus verschiedensten Gründen mit einer beliebigen Gegenpartei interagieren. Das ist in der OT fast nie der Fall, insbesondere bei CPS. Diese Besonderheit von CPS-basierten OT-Umgebungen bietet eine solide Grundlage für die Bereitstellung der CPSDR-Funktionen (Cyber-Physical System Detection and Response) in unseren Produkten. Der letzte Schritt besteht darin, dass wir diese Funktionen in eine übersichtliche Benutzeroberfläche für die Mitarbeiter in den OT-Umgebungen überführen. Sobald die CPS gut geschützt sind, ist die OT-Sicherheit praktisch gewährleistet.